Ratgeber - Produktklassen
Was ist der Unterschied zwischen wichtigen und kritischen Produkten im CRA?
Die Klasse bestimmt das Konformitätsverfahren, nicht die Meldepflicht
Die Verordnung unterscheidet drei Gruppen: die übrigen Produkte mit digitalen Elementen, wichtige und kritische. Wer die eigene Gruppe kennt, weiß, welche Konformitätsroute er ab Dezember 2027 gehen muss.
Die Kurzfassung
Kritische Produkte tragen die strengsten Verfahren, wichtige die zweitstrengsten
Ein wichtiges oder kritisches Produkt ist eines, dessen Kategorie in Anhang I oder II der Verordnung steht. Kritische Kategorien sind zum Beispiel Identitätsmanagementsysteme, Betriebssysteme für Server und Firewalls. Wichtige Kategorien umfassen unter anderem Bürosoftware und Tabellenkalkulationen. Für kritische Produkte sieht die Verordnung die Beteiligung einer notifizierten Stelle vor, für die meisten wichtigen je nach Klasse ebenfalls, für die übrigen Produkte die Selbstbewertung des Herstellers.
Die Übersicht
Die drei Gruppen und ihre Konformitätsroute
| Gruppe | Wo sie steht | Konformitätsroute | Meldepflicht Art. 14 |
|---|---|---|---|
| Übrige Produkte | nicht in Anhang I oder II | Selbstbewertung des Herstellers | ja |
| Wichtige Produkte | Anhang I, Kategorien III und IV | je nach Klasse Selbstbewertung oder notifizierte Stelle | ja |
| Kritische Produkte | Anhang II, Kategorien I und II | notifizierte Stelle, Klasse I | ja |
Die Spalte Meldepflicht ist in allen Zeilen gleich, und das ist kein Versehen der Tabelle: Artikel 14 knüpft nicht an die Klasse an, sondern an das Produkt mit digitalen Elementen im Anwendungsbereich. Ein kleines Büroprogramm und eine Firewall haben dieselben Meldefristen.
Die Klasse entscheidet über das Prüfverfahren, nicht über die Meldung. Wer meldet, meldet.
Die Praxis
Die Einstufung folgt der Kategorie in den Anhängen, nicht dem Produktnamen
Wie die Prüfung abläuft
Die Einstufung beginnt mit der Suche der eigenen Kategorie in den Anhängen I und II. Trifft keine Kategorie zu, bleibt das Produkt in der Gruppe der übrigen. Trifft eine zu, entscheidet die Beschreibung des Eintrags, ob das eigene Produkt hineinfällt: Manche Einträge verlangen zum Beispiel, dass das Produkt für den Einsatz in einer bestimmten Umgebung bestimmt ist.
Die Klassen innerhalb der Kategorien, wichtig I bis IV und kritisch I bis II, bestimmen dann die Einzelheiten des Konformitätsverfahrens. Die Zuordnung sollte mit der Fundstelle in der eigenen Produktakte stehen, weil eine Behörde sie im Zweifel nachvollzieht.
Der Grund
Warum die Verordnung Produkte unterschiedlich behandelt
Das Interesse hinter den Klassen
Die Streuung der Schäden rechtfertigt den Aufwand. Ein kompromittierter Router in einem Rechenzentrum kann Folgen für tausende Nutzer haben, ein Kalenderprogramm für einen. Die Verordnung staffelt deshalb den Prüfaufwand nach der Reichweite des Produkts. Wer bezahlt, ist der Hersteller des betroffenen Produkts, und wer profitiert, ist jeder, der auf Infrastrukturkomponenten angewiesen ist.
Vertiefung